Финансово мотивированная группировка Toy Ghouls, целенаправленно атакующая российские организации с 2025 года, впервые применила в своих операциях вредоносную программу собственной разработки. Речь идёт о бэкдоре - инструменте, дающем злоумышленникам скрытый и полный контроль над заражённым компьютером. Ранее группа использовала готовые открытые проекты, а также утёкшие конструкторы программ-вымогателей Babuk и LockBit. Незадолго до появления бэкдора она уже перешла на собственный шифровальщик GenieLocker, теперь же последовало развитие в сторону инструментов удалённого управления.
Описание
Новый бэкдор существует в двух вариантах, и оба используют нестандартные легитимные площадки для связи с серверами злоумышленников. Первый вариант, по данным анализа, управляется через облачный брокер сообщений HiveMQ, который обычно применяется для обмена данными между устройствами интернета вещей. Второй вариант построен на базе мессенджера Element, работающего на децентрализованном протоколе Matrix. Примечательно, что в названиях обеих версий присутствует слово "bird": mqtt-bird-agent и matrix-bird-agent. Такой выбор каналов управления заметно повышает скрытность атаки, поскольку трафик к подобным платформам сложно отличить от обычной активности.
Доставка вредоносной программы на системы жертв происходит с использованием стандартного протокола удалённого управления Windows, известного как WinRM. Атакующие применяют для этого открытые инструменты, автоматизирующие процесс загрузки и выполнения файлов. Такой способ характерен для ситуаций, когда злоумышленники уже получили доступ к сети и обладают учётными данными администратора. Им не требуется заставлять пользователя переходить по вредоносным ссылкам или открывать вложения: внедрение происходит практически незаметно.
После первого запуска бэкдор умеет закрепляться в системе. Он может работать в рамках обычной сессии командной строки, но также способен установить себя в качестве службы Windows. В этом случае вредоносная программа будет автоматически запускаться при каждой загрузке операционной системы. Свои настройки бэкдор хранит в конфигурационном файле. При этом чувствительные параметры, включая ключи шифрования и идентификаторы каналов, зашифрованы и привязаны к конкретному компьютеру. Механизм работает таким образом, что после первого запуска файл конфигурации становится бесполезным для переноса на другую машину. В версии для Element настройки дополнительно сохраняются в реестре Windows. Если расшифровать конфигурацию не удаётся, программа просто прекращает работу, что затрудняет её изучение в лабораторных условиях.
Что касается канала связи, версия на базе HiveMQ подключается к публичному брокеру компании HiveMQ. Злоумышленники создали на его бесплатном тарифе собственный кластер, который используют одновременно для сбора телеметрии с заражённых устройств и для отправки им команд. После установления соединения бэкдор передаёт на сервер базовую информацию о системе, включая сведения о её имени, объёме доступной памяти и загрузке процессора. Периодически отправляются обновлённые метрики. Для получения команд программа опрашивает сервер через заданные интервалы. Любая полученная команда выполняется скрытно, во встроенном инструментарии Windows, а результат её работы - вывод, ошибки и код завершения - передаётся обратно операторам. Такой сценарий даёт злоумышленникам возможность запускать на инфицированной машине практически любые действия.
Версия на базе Element устроена по схожему принципу, но с рядом отличий. Атакующие развернули собственный сервер, работающий на протоколе Matrix, и создали в нём отдельную комнату для связи с заражёнными системами. Устройство отправляет в неё сообщения о статусе и системных метриках, а команды получает в виде текстовых сообщений. Операторы используют для управления специальные ключевые слова: одно служит для изменения периодичности отправки данных, другое указывает на необходимость выполнить произвольную команду. Аккаунт, с которого отдаются инструкции, называется panel-bot. Поскольку Element представляет собой полноценный мессенджер с шифрованием и другими механизмами защиты, вредоносная активность со стороны может выглядеть как обычный обмен сообщениями.
Применение публичных облачных платформ в качестве командно-контрольных серверов существенно осложняет обнаружение атаки. Традиционные системы защиты часто блокируют соединения с подозрительными IP-адресами или неизвестными доменами, однако здесь трафик идёт к легитимным сервисам с хорошей репутацией. В результате деятельность злоумышленников может оставаться незамеченной на протяжении длительного времени. Это делает бэкдор опасным инструментом не только для шифрования данных, но и для шпионажа, кражи информации или использования заражённых машин в качестве промежуточных точек для дальнейших вторжений.
Переход Toy Ghouls с открытых чужих наработок на собственные инструменты говорит о стремлении группы повысить уровень сложности своих атак и снизить вероятность быстрого обнаружения. Судя по динамике последних месяцев, арсенал группировки продолжает расширяться, и в ближайшее время возможны новые варианты вредоносного ПО. Российским компаниям, особенно крупным производственным и государственным структурам, необходимо учитывать эту угрозу. Рекомендуется ограничить применение протоколов удалённого управления администраторами, организовать мониторинг исходящих соединений к внешним облачным сервисам и своевременно обновлять программное обеспечение. Даже легитимный на первый взгляд трафик к популярным платформам заслуживает внимания, если он исходит от служебных серверов или рабочих станций без явной необходимости в таком взаимодействии.
Индикаторы компрометации
